Katalog podatności CVE

Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.

Podatność w standardowej bibliotece Go (net/http) powoduje, że przy przekierowaniu HTTP do domeny, która nie jest subdomeną ani dokładnym dopasowaniem początkowej domeny, klient HTTP nie przekazuje wrażliwych nagłówków, takich jak Authorization czy Cookie. Na przykład przekierowanie z foo.com na www.foo.com przekaże nagłówek Authorization, ale przekierowanie na inną domenę już nie.

Funkcja IsLocal w systemie Windows nieprawidłowo wykrywa zastrzeżone nazwy urządzeń w niektórych przypadkach. Nazwy zastrzeżone, po których występują spacje (np. "COM1 ") oraz nazwy "COM" i "LPT" z indeksem górnym 1, 2 lub 3, są błędnie zgłaszane jako lokalne. Poprawka sprawia, że IsLocal teraz poprawnie je identyfikuje.

Podatność w bibliotece net/http języka Go pozwala atakującemu HTTP na użycie rozszerzeń chunk do zmuszenia odbiorcy do odczytania znacznie większej ilości danych z sieci niż faktycznie znajduje się w treści żądania lub odpowiedzi. Złośliwy klient HTTP może wykorzystać to do automatycznego odczytania przez serwer dużej ilości danych (do około 1 GiB).

Podatność w bibliotece Go crypto/tls pozwala na atak DoS poprzez przesyłanie bardzo dużych kluczy RSA w łańcuchach certyfikatów, co powoduje znaczne obciążenie CPU podczas weryfikacji podpisów. Naprawa ogranicza rozmiar kluczy RSA przesyłanych podczas uzgadniania połączenia do maksymalnie 8192 bitów.

Klient HTTP/1 w języku Go nie w pełni weryfikuje zawartość nagłówka Host. Złośliwie spreparowany nagłówek Host może umożliwić wstrzyknięcie dodatkowych nagłówków lub całych żądań. Poprawka uniemożliwia wysyłanie żądań z nieprawidłową wartością Request.Host lub Request.URL.Host.

Pakiet filepath w Go nie rozpoznaje ścieżek z prefiksem \??\ jako specjalnych. W systemie Windows ścieżka zaczynająca się od \??\ jest równoważna ścieżce zaczynającej się od \\?\ i może być używana do dostępu do dowolnych lokalizacji w systemie.

Podatność w implementacji HTTP/2 w Go pozwala złośliwemu klientowi na szybkie tworzenie i resetowanie żądań, co prowadzi do nadmiernego zużycia zasobów serwera. Mimo ograniczenia liczby równoczesnych strumieni przez MaxConcurrentStreams, resetowanie żądań umożliwia atakującemu ciągłe wysyłanie nowych żądań.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.

Podatność w standardowej bibliotece Go (net/netip) powoduje, że metody IsPrivate, IsLoopback i inne niepoprawnie obsługują adresy IPv4-mapped IPv6, zwracając false dla adresów, które w tradycyjnej formie IPv4 zwróciłyby true.

W bibliotekach Net::SSH::Proxy::Command oraz Net::SSH::Proxy::Jump możliwa jest iniekcja poleceń powłoki. Gdy aplikacja konfiguruje proxy i przekazuje do Net::SSH.start (lub ciąg jump do Proxy::Jump.new) wartości host, port lub remote_user pod wpływem atakującego, metaznaki powłoki w tych wartościach mogą zostać zinterpretowane.

Podczas ładowania spreparowanego klucza prywatnego ed25519 zawierającego ogromną liczbę rund, net-ssh wchodzi w nieskończoną pętlę zużywającą czas CPU przez bardzo długi czas podczas próby załadowania klucza. To, że klucz nie jest prawdziwym kluczem SSH, nie ma w tym przypadku znaczenia.

Biblioteka net-ssh ufa 4-bajtowemu polu długości pakietu przesyłanego przez sieć, nie ograniczając go do wartości 35000 bajtów zgodnie z RFC 4253 §6.1. Złośliwy serwer może przed wymianą kluczy (w trybie jawnym) zadeklarować dowolnie dużą długość pakietu i przesyłać dane, powodując nieograniczony wzrost zużycia pamięci po stronie klienta przed uwierzytelnieniem.

Funkcje `Decode`, `DecodeChain`, `DecodeTrustStore` i `ToPEM` mogą błędnie akceptować pliki PKCS#12 zakodowane z nieprawidłowym hasłem, z powodu braku odrzucania zbyt krótkich kluczy PBMAC1. Użytkownicy, którzy dekodują pliki PKCS#12 z niezaufanych źródeł i polegają na haśle do uwierzytelnienia, mogą być zagrożeni.

Weryfikator certyfikatów hosta w net-ssh (`Net::SSH::HostKeyEntries::CertAuthority#matches_key?`) sprawdza dokładnie dwie rzeczy, gdy serwer przedstawia certyfikat OpenSSH (`*[email protected]`) w ramach zaufanego wpisu CA `@cert-authority`: (1) certyfikat jest spójnie podpisany (signature_valid).

Metoda Net::SSH::Transport::ServerVersion#read! dołącza każdy odebrany bajt do @version aż do napotkania znaku nowej linii, a następnie kopiuje do @header, bez limitu długości linii ani całkowitej liczby bajtów. Złośliwy serwer wysyłający długą linię identyfikacyjną bez znaku LF powoduje nieograniczony wzrost zużycia pamięci.

W net-ssh funkcja `Service::Forward#initialize` bezwarunkowo rejestruje procedury obsługi kanałów agenta uwierzytelniania inicjowanych przez serwer, przez co zwykłe przekierowanie portów ujawnia lokalnego agenta SSH.

Metoda Net::SSH::Transport::Session#poll_message umieszcza każdy pakiet odebrany podczas wymiany kluczy, który nie znajduje się na liście dozwolonych podczas KEX, w nieograniczonej kolejce @queue (tablica) bez limitu rozmiaru. Złośliwy serwer, który ukończy KEXINIT (wprowadzając net-ssh w stan oczekiwania na KEX), a następnie zalewa nie dozwolonymi pakietami, może powodować nieograniczony wzrost pamięci.

Klient SMTP Nodemailer stosuje cztery wyrażenia regularne do odpowiedzi EHLO w celu wykrycia mechanizmów SASL. Każdy wzorzec zawiera nakładające się podwzorce dopasowujące białe znaki, co powoduje kwadratowe (O(n^2)) cofanie przy długich nazwach mechanizmów.